搜索

[15717] 2020-08-11_应急响应之大灰狼远控分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-08-11_应急响应之大灰狼远控分析 应 急 响 应 之 大 灰 狼 远 控 分 析 磊 叔   F r e e B u f   2 0 2 0 - 0 8 - 1 1 第 一 章 、 背 景 第 一 章 、 背 景 前 段 时 间 在 一 客 户 现 场 做 值 守 工 作 ， 在 值 守 过 程 中 发 现 系 统 存 在 外 联 数 据 ， 外 联 如 下 ： 目 标 I P ： 1 3 9 . 1 5 9 . 2 2 7 . 1 8 2 ， 使 用 微 步 对 该 I P 进 行 分 析 ， 发 现 该 I P 服 务 器 存 在 病 毒 样 本 数 据 ， 详 细 如 下 ： 确 认 该 信 息 后 ， 使 用 杀 软 对 系 统 进 行 病 毒 查 杀 ， 但 并 未 发 现 异 常 ： 对 此 不 太 甘 心 ， 因 此 做 了 一 下 操 作 ： 在 防 火 墙 封 锁 该 I P ， 禁 止 与 互 联 网 进 行 通 信 ； 进 入 系 统 对 进 程 信 息 进 行 分 析 ， 判 断 是 否 存 在 问 题 ；
对 外 联 流 量 的 对 象 系 统 进 行 渗 透 ； 第 二 章 、 大 灰 狼 远 控 木 马 分 析 第 二 章 、 大 灰 狼 远 控 木 马 分 析 使 用 p r o c e s s   m o n i t o r 查 看 进 程 链 接 情 况 ， 发 现 存 在 1 2 1 . e x e 文 件 访 问 恶 意 连 接 1 3 9 . 1 5 9 . 2 2 7 . 1 8 2 ， 该 e x e 文 件 主 要 调 用 n e t s y s t 9 6 . d l l ， 借 此 判 断 该 外 联 是 有 1 2 1 . e x e 程 序 引 起 ， 借 此 对 1 2 1 . e x e 文 件 进 行 逆 向 分 析 。 对 n e t s y s t 9 6 . d l l 进 分 析 ， 确 认 异 常 文 件 ： 2 . 1 、 工 具 使 用 情 况 、 工 具 使 用 情 况 本 次 主 要 使 用 工 具 是 I D A 、 O D 。
2 . 2 、 、 M a i n 函 数 函 数 加 载 1 2 1 . e x e 文 件 后 ， 发 现 m a i n 函 数 主 要 调 用 了 s u b _ 4 0 1 E D 8 和 s u b _ 4 0 1 D E C 。 1 、 s u b _ 4 0 1 E D 8 主 要 作 用 为 对 U R L 地 址 进 行 解 密 ； 2 、 s u b _ 4 0 1 D E C 主 要 作 用 为 载 入 程 序 。 详 细 如 下 : 2 . 3 、 、 s u b _ 4 0 1 E D 8 s u b _ 4 0 1 E D 8 函 数 U R L 地 址 进 行 解 密 中 主 要 调 用 了 s u b _ 4 0 1 5 A A 与   s u b _ 4 0 1 6 3 E ， 详 细 如 下 ： 2 . 4 、 s u b _ 4 0 1 D E C s u b _ 4 0 1 D E C 中 调 用 了 s u b _ 4 0 1 C 3 6 ， 该 函 数 主 要 作 用 是 下 载 d l l 文 件 ， 解 密 并 载 入 内 存 执 行 ：
s u b _ 4 0 1 C 3 6 1 、 首 先 动 态 载 入 d l l ， 并 从 k e r n e l 3 2 . d l l 中 获 取 C r e a t e F i l e A 函 数 地 址 ； 2 、 将 路 径 C : P r o g r a m   F i l e s A p p P a t c h 与 文 件 名 d l l 进 行 拼 接 ； 3 、 在 C : P r o g r a m   F i l e s A p p P a t c h 路 径 下 创 建 文 件 d l l 文 件 ， 并 执 行 n e t s y s 9 6 . d l l 文 件 ； 4 、 打 开 d l l 文 件 ， 读 取 n e t s y s 9 6 . d l l 文 件 内 容 ， 如 果 文 件 异 常 ， 则 调 用 s u b _ 4 0 1 9 7 4 ， 从 u r l 中 读 取 d l l 文 件 内 容 ， 并 写 入 到 n e t s y s 9 6 . d l l 中 。
s u b _ 4 0 1 B D C
使 用 o d 进 行 动 态 调 试 ， 查 看 d l l 文 件 解 密 前 和 解 密 后 内 容 ， 如 下 ： 解 密 前 ： 解 密 后 ：
s u b _ 4 0 1 0 0 0 将 P E 文 件 拷 贝 到 内 存 中 ， 并 且 修 正 导 入 函 数 表 。 调 用 s u b _ 4 0 1 3 8 8 进 行 导 入 表 地 址 修 正 。
s u b _ 4 0 1 9 7 4 首 先 会 判 断 s r c 起 始 位 置 是 否 e _ m a g i c 标 志 位 （ 对 d l l 文 件 的 P E 结 构 进 行 判 断 是 否 解 密 成 功 或 是 正 确 的 P E 文 件 结 构 体 ） ， 如 果 存 在 则 判 断 s i g n a t u r e ， 如 果 存 在 则 创 建 多 块 内 存 空 间 ， 将 P E 文 件 拷 贝 到 空 间 中 ， 导 入 后 进 行 导 入 表 的 修 正 ； 否 则 会 返 上 级 函 数 ， 进 行 重 新 下 载 。 对 导 入 表 修 正 完 成 之 后 ， 接 着 执 行 上 层 函 数 的 虚 拟 函 数 ， 通 过 该 函 数 跳 转 入 n e t s y s t 9 6 . d l l 入 口 点 执 行 D l l F u U p g r a d r s 。
通 过 该 分 析 得 知 ， 该 后 门 文 件 的 e x e 仅 为 d o w n l o a d 并 未 存 在 真 实 后 门 功 能 程 序 ， 因 此 能 够 绕 过 一 些 国 内 的 安 全 软 件 。 2 . 5 、 文 件 调 用 函 数 整 体 架 构 、 文 件 调 用 函 数 整 体 架 构 第 三 章 、 木 马 作 者 跟 踪 第 三 章 、 木 马 作 者 跟 踪 通 过 C F F   E x p l o r e r 查 看 1 2 1 . e x e 基 本 信 息 ， 进 行 木 马 作 者 跟 踪 。

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理